Agent Substrate - AI 에이전트를 격리하고 대기 자원을 줄이는 Kubernetes 실행 환경

GitHub README를 개발용 Quickstart까지 읽고 옮겼어요. 뒤쪽 GKE 설치 절차 등 README 나머지는 읽지 않았어요.

무엇인가

Kubernetes에서 수백만 에이전트를 위한 제로 트러스트 샌드박싱

Agent Substrate는 샌드박스 에이전트용 보안 강화 런타임이에요. 일반 컨테이너보다 10배 높은 밀도로 수백만 개의 에이전트와 도구를 안전하게 돌리도록 설계했고, 400ms 미만 재개, 초당 1,500회 이상 활성화를 내세워요. 에이전트마다 격리된 컴퓨트, 신원, 네트워크, 스토리지를 주고, 민감한 자격 증명은 신뢰할 수 없는 코드가 닿지 않는 곳에 둬요. microVM과 gVisor를 모두 지원해요.

핵심은 많은 "액터"(에이전트 같은 상태 있는 워크로드)를 적은 수의 준비된 "워커" 풀에 매핑하는 거예요. 에이전트는 대부분 모델, 도구, 사람을 기다리며 보내니, 쉬는 액터는 스냅샷으로 메모리에서 내리고 요청이 오면 복원해요. 에이전트 SDK가 아니라 의견이 적은 런타임이고, 표준 Kubernetes(Pod, 오토스케일링, NetworkPolicy) 위에 에이전트 전용 스케줄링, 스냅샷, 신원, 네트워크 중개를 더해요.

보안 모델

모든 액터를 신뢰할 수 없고 서로 적대적이라고 가정해요.

• 항상 샌드박스: 모든 액터가 전용 gVisor(runsc)나 Cloud Hypervisor microVM 안에서 돌아요. 일반 Linux 컨테이너는 지원하지 않아요.
• 에이전트별 암호학적 신원: 활성 액터마다 수명이 짧은 SPIFFE X.509 인증서를 받고, 필요하면 egress 게이트웨이가 액터별 JWT를 발급해요.
• 샌드박스 안 자격 증명 0: API 키나 클라우드 토큰을 액터가 들고 있지 않아요. 내장 egress 게이트웨이(atenet-egress)가 승인된 외부 요청에 샌드박스 밖에서 자격 증명을 넣어 줘서, 프롬프트 인젝션을 당해도 빼낼 게 없어요.
• 기본 거부 네트워크: 인바운드는 ingress 라우터로만, 액터 간·컨트롤 플레인 접근은 막히고, 아웃바운드는 egress 게이트웨이가 제한해요.
• 엣지의 교체 가능한 정책: egress 게이트웨이를 외부 정책 집행 지점(PEP)으로 써서 인가, DLP, 프롬프트 인젝션 검사, 클라우드 IAM을 샌드박스 밖에 붙일 수 있어요.

성능과 다중화

데모는 상태 있는 액터 약 250개를 물리 Pod 8개에 다중화해요. 액터를 아무 워커로 옮겨 재개하는 "Actor Teleport", RAM과 파일시스템 상태를 스냅샷에 담는 전체 상태 보존, 10–30배 초과 구독(에이전트가 생각하거나 도구를 실행할 때만 컴퓨트 비용)을 보여 줘요.

호환성과 생태계

OCI 이미지를 그대로 돌리고 보안을 워크로드 밖에서 강제하므로 프레임워크를 가리지 않아요. ADK, LangChain, Claude Code·Codex·Antigravity 같은 코딩 환경, 샌드박스 MCP 서버를 예로 들어요. Agent Executor와 CNCF Sandbox 프로젝트 kagent가 이 위에서 돌아요.

상태

1.0 이전이라 하위 호환을 보장하지 않고 API가 크게 바뀔 수 있어요. 최신 안정 Kubernetes와 직전 마이너 버전을 지원하는 게 목표예요. 프로젝트가 매우 초기라 핵심 시스템과 데모에 맞지 않는 기여는 당분간 검토하기 어렵다고 해요. 천 개 넘는 샌드박스를 돌릴 Linux 호스트는 커널 neighbor 테이블을 키워야 한다는 안내도 있어요.